Se dovessi spiegare la differenza tra la regolazione europea e quella americana dell’intelligenza artificiale a qualcuno che non ha tempo, direi così: in Europa devi dimostrare che il tuo sistema è a posto prima di venderlo, negli Stati Uniti ti si viene a cercare dopo, se hai combinato un danno. Il resto sono dettagli, ma sono dettagli che nel 2026 valgono miliardi e che stanno cambiando sotto i piedi delle aziende mentre queste cercano di adeguarsi.
La cosa interessante è che entrambi i sistemi, nell’ultimo anno, si sono mossi nella stessa direzione: allentare. L’Europa ha rinviato la parte più onerosa dell’AI Act. Gli Stati Uniti hanno provato a smontare le uniche regole vincolanti che avevano, cioè quelle dei singoli stati. Chi ne beneficia non è chi sviluppa AI in Italia.
Due filosofie, una frase ciascuna
L’approccio europeo si chiama ex ante: la regola arriva prima del prodotto. L’AI Act classifica i sistemi per livello di rischio e, per quelli considerati ad alto rischio, impone una serie di obblighi — gestione del rischio, qualità dei dati, documentazione tecnica, sorveglianza umana, registrazione in una banca dati europea — che vanno soddisfatti prima che il sistema arrivi sul mercato. È lo stesso schema che l’Europa usa per i dispositivi medici o i giocattoli: se vuoi vendere, prima dimostri.
L’approccio americano è ex post: nessuna legge federale organica sull’AI, e i danni si affrontano con gli strumenti che già esistono — la responsabilità civile, il diritto dei consumatori, le leggi antidiscriminazione, l’azione della Federal Trade Commission contro le pratiche commerciali ingannevoli. Chi sbaglia paga, ma paga dopo, e solo se qualcuno lo trascina in tribunale.
Non è una differenza tecnica, è una differenza di scommessa. L’Europa scommette che il costo della conformità sia inferiore al costo dei danni evitati. Gli Stati Uniti scommettono il contrario, e in più aggiungono un argomento che in Europa si tende a liquidare troppo in fretta: che regolare una tecnologia mentre sta cambiando forma ogni sei mesi produce regole che nascono già vecchie.
L’Europa: autorizzare prima, controllare dopo
L’AI Act (Regolamento UE 2024/1689) è entrato in vigore nell’agosto 2024 e si applica per scaglioni. I divieti — punteggio sociale, riconoscimento delle emozioni sul posto di lavoro e a scuola, alcune forme di identificazione biometrica — sono operativi dal febbraio 2025. Gli obblighi per i modelli di uso generale, cioè i grandi modelli come quelli di OpenAI, Google, Anthropic e Meta, si applicano dall’agosto 2025.
Poi c’è la parte pesante: i sistemi ad alto rischio. Non si tratta di applicazioni esotiche. L’Allegato III dell’AI Act elenca usi molto comuni: selezione del personale, valutazione del merito creditizio, istruzione e valutazione degli studenti, gestione di infrastrutture critiche, applicazione della legge, controllo delle frontiere. Se il tuo software fa una di queste cose, sei ad alto rischio. La dimensione dell’azienda non cambia il verdetto: vale per la multinazionale e vale per la software house di dodici persone a Bologna.
In Italia si è aggiunto un secondo livello. La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, è la prima legge organica nazionale sull’AI: si allinea all’AI Act e ci aggiunge principi su informazione e dati personali, disposizioni su sanità, lavoro, professioni intellettuali e pubblica amministrazione, e un nuovo reato per la diffusione illecita di contenuti generati o alterati con l’AI (l’articolo 612-quater del codice penale). Buona parte richiede decreti attuativi — i primi sono passati in esame preliminare in Consiglio dei ministri il 10 giugno 2026 (ADVANT Nctm) — quindi il quadro operativo è ancora in costruzione.
Gli Stati Uniti: lasciar fare, e togliere di mezzo gli stati
A livello federale, negli Stati Uniti, non esiste una legge sull’intelligenza artificiale. Esistono ordini esecutivi del presidente, che sono atti dell’esecutivo e non del Congresso, e che quindi il presidente successivo può cancellare in un pomeriggio. È già successo.
L’atto più rilevante è l’ordine esecutivo dell’11 dicembre 2025, “Ensuring a National Policy Framework for Artificial Intelligence” (testo alla Casa Bianca). Non introduce obblighi per chi sviluppa AI. Fa l’opposto: prova a smontare le regole che i singoli stati americani si sono dati. Prevede una task force del Dipartimento di Giustizia incaricata di impugnare in tribunale le leggi statali sull’AI, chiede alla FTC di prendere posizione contro certi obblighi statali in materia di mitigazione dei bias, e mette in gioco i fondi federali per la banda larga come leva sugli stati riottosi (analisi di DLA Piper). Alcune materie restano fuori dal mirino, tra cui la sicurezza dei minori e l’uso dell’AI da parte delle amministrazioni statali.
Dove la battaglia si fa vera: gli stati
Negli Stati Uniti la regolazione dell’AI, finora, l’hanno scritta gli stati. Il Colorado era arrivato per primo con una legge di impianto quasi europeo, basata su sistemi ad alto rischio e obblighi per sviluppatori e utilizzatori. Poi è arrivata la marcia indietro: il 14 maggio 2026 il governatore ha firmato una legge (SB 26-189) che ne rinvia l’efficacia dal 30 giugno 2026 al 1° gennaio 2027 e ne ridimensiona pesantemente gli obblighi, spostando l’impianto da gestione del rischio a semplice trasparenza (Norton Rose Fulbright).
La California ha scelto un’altra strada, più stretta e più difendibile: il Transparency in Frontier Artificial Intelligence Act (SB 53), firmato nel settembre 2025 e in vigore dal 1° gennaio 2026, non regola gli usi ma i grandi sviluppatori di modelli di frontiera, imponendo la pubblicazione dei protocolli di gestione del rischio e la segnalazione degli incidenti gravi entro quindici giorni (WilmerHale). Trasparenza, non autorizzazione preventiva.
Il risultato è un paese in cui le regole cambiano attraversando un confine di stato, e in cui il governo federale sta attivamente lavorando perché quelle regole non esistano affatto.
Il Digital Omnibus: l’Europa rinvia il pezzo grosso
Mentre gli Stati Uniti smontavano le regole statali, l’Europa ha fatto una cosa che a Bruxelles non si era mai vista: ha modificato l’AI Act prima che entrasse davvero in funzione.
Il pacchetto Digital Omnibus, dopo l’accordo provvisorio raggiunto in trilogo all’inizio di maggio 2026, il voto del Parlamento europeo del 16 giugno e il via libera definitivo del Consiglio del 29 giugno 2026 (comunicato del Consiglio), sposta gli obblighi per i sistemi ad alto rischio dell’Allegato III dal 2 agosto 2026 al 2 dicembre 2027 — sedici mesi in più — mentre per i sistemi ad alto rischio incorporati in prodotti (Allegato I) la scadenza si colloca al 2 agosto 2028 (ricostruzione delle scadenze, analisi di Gibson Dunn).
Il fatto che l’Europa abbia dovuto rinviare la parte centrale della sua legge più simbolica prima ancora di applicarla dice due cose, e nessuna delle due è comoda. La prima: gli strumenti tecnici per applicarla — standard armonizzati, organismi di valutazione, linee guida — non erano pronti. Chiedere alle aziende di conformarsi a regole i cui parametri non sono stati ancora scritti è, semplicemente, chiedere l’impossibile. La seconda: la pressione politica ha funzionato. Le grandi aziende tecnologiche, quasi tutte americane, hanno lavorato mesi per ottenere esattamente questo, e lo hanno ottenuto.
Cosa cambia per un’azienda italiana che usa modelli americani
Il fraintendimento più diffuso è questo: “usiamo OpenAI, quindi la conformità è un problema loro”. No.
L’AI Act distingue tra chi fornisce il modello e chi lo mette sul mercato dentro un proprio sistema. Se prendi un modello americano e ci costruisci sopra un prodotto che valuta candidati, assegna un punteggio creditizio o decide chi accede a un servizio, sei tu il fornitore del sistema ad alto rischio, e gli obblighi ricadono su di te. Il fornitore del modello ha i suoi doveri (documentazione, trasparenza sui dati di addestramento, sicurezza), ma non ti copre. Vale la pena verificare in parallelo anche cosa succede ai dati che gli mandi: i contratti dei piani business e di quelli personali non dicono la stessa cosa, e la differenza pesa su entrambi i fronti, GDPR e AI Act.
Facciamo un esempio ipotetico, perché non ho un caso reale documentato da citare e non ho intenzione di inventarne uno. Immagina una software house italiana da venti dipendenti che vende alle PMI un gestionale per le risorse umane, e che ci aggiunge una funzione di pre-selezione automatica dei curricula usando un modello americano via API. In un colpo solo quell’azienda entra nell’Allegato III, deve dotarsi di un sistema di gestione del rischio, documentare la qualità dei dati, garantire sorveglianza umana significativa sulle decisioni, tenere i log e registrarsi. Il rinvio al dicembre 2027 le regala sedici mesi. Non le toglie il problema: glielo sposta, e nel frattempo il cliente che compra il gestionale inizierà comunque a chiedere garanzie contrattuali, perché anche il cliente ha i suoi obblighi come utilizzatore.
C’è poi un punto che riguarda tutti, non solo l’alto rischio: gli obblighi di trasparenza dell’articolo 50 dell’AI Act, che si applicano dal 2 agosto 2026. Se un utente parla con un sistema automatico deve poterlo sapere, e i contenuti generati o manipolati dall’AI vanno marcati in un formato leggibile dalle macchine. Sono cose che non richiedono un consulente, richiedono di deciderle e scriverle. Chi lavora con immagini e video se ne accorgerà prima degli altri, perché lì la marcatura tocca il file che consegni: il nodo pratico è raccontato bene sul versante del ritocco fotografico e delle licenze commerciali.
Chi ci guadagna dal rinvio
Qui metto in chiaro la mia posizione, perché il racconto dominante mi sembra rovesciato.
Il rinvio degli obblighi ad alto rischio è stato venduto come una vittoria della semplificazione, un aiuto alle imprese europee soffocate dalla burocrazia. In parte è vero, e chi ha passato l’ultimo anno a cercare di capire come si documenta la qualità di un dataset senza standard tecnici disponibili sa che era diventato un esercizio surreale.
Ma i sedici mesi in più non li usano allo stesso modo tutti. Una multinazionale americana con un ufficio legale interno usa quel tempo per consolidare la propria posizione di mercato, mentre le regole che avrebbero potuto creare uno spazio competitivo per fornitori europei conformi restano in sospeso. Una software house italiana da venti persone usa quel tempo per rimandare il problema, perché non ha né i soldi né le competenze per prepararsi in anticipo, e a dicembre 2027 si troverà nella stessa identica situazione in cui era ad agosto 2026, solo con meno tempo davanti.
L’AI Act aveva un vantaggio strategico per l’Europa che quasi nessuno ha nominato: essere il primo mercato in cui la conformità è un requisito d’ingresso significa che i fornitori conformi hanno un vantaggio. Rinviare quel requisito significa buttare via il vantaggio e tenersi solo il costo. Non è deregolamentazione, è il peggio dei due mondi: le regole ci sono, ma arrivano tardi e a scaglioni, e quindi ne
